1. Rechtmäßigkeit, Verarbeitung nach Treu und Glauben, Transparenz (Art. 5 Abs. 1 lit. a DSGVO)
Der Grundsatz der Rechtmäßigkeit, Verarbeitung nach Treu und Glauben und Transparenz fordert, dass personenbezogene Daten auf rechtmäßige Weise, nach Treu und Glauben und in einer für die betroffene Person nachvollziehbaren Weise verarbeitet werden. Der Grundsatz der Transparenz setzt voraus, dass alle Informationen und Mitteilungen zur Verarbeitung dieser personenbezogenen Daten leicht zugänglich und verständlich und in klarer und einfacher Sprache abgefasst sind. Dieser Grundsatz betrifft insbesondere die Informationen über die Identität des Verantwortlichen und die Zwecke der Verarbeitung und sonstige Informationen, die eine faire und transparente Verarbeitung im Hinblick auf die betroffenen natürlichen Personen gewährleisten, sowie deren Recht, eine Bestätigung und Auskunft darüber zu erhalten, welche sie betreffenden personenbezogenen Daten verarbeitet werden. Natürliche Personen sollten über die Risiken, Vorschriften, Garantien und Rechte im Zusammenhang mit der Verarbeitung personenbezogener Daten informiert und darüber aufgeklärt werden, wie sie ihre diesbezüglichen Rechte geltend machen können (vgl. Erwägungsgrund 39).
2. Zweckbindung (Art. 5 Abs. 1 lit. b DSGVO)
Der Grundsatz der Zweckbindung fordert, dass personenbezogene Daten für festgelegte, eindeutige und legitime Zwecke erhoben werden und nicht in einer mit diesen Zwecken nicht zu vereinbarenden Weise weiterverarbeitet werden dürfen. Eine Weiterverarbeitung für im öffentlichen Interesse liegende Archivzwecke, für wissenschaftliche oder historische Forschungszwecke oder für statistische Zwecke gilt gem. Art. 89 Abs. 1 DSGVO nicht als unvereinbar mit den ursprünglichen Zwecken. Die bestimmten Zwecke, zu denen die personenbezogenen Daten verarbeitet werden, müssen eindeutig und rechtmäßig sein sowie zum Zeitpunkt der Erhebung der personenbezogenen Daten feststehen (vgl. Erwägungsgrund 39). Eine zweckfreie Datenerhebung "auf Vorrat" ist unzulässig (Wortmann ArbRB 2018, 83 f.).
Praxishinweis:
Zur einer nachträglichen Zweckänderung geben Art. 6 Abs. 4 DSGVO i.V.m. Erwägungsgrund 50 den europäischen Rechtsrahmen vor. Danach gilt u.a.: Um festzustellen, ob ein Zweck der Weiterverarbeitung mit dem Zweck, für den die personenbezogenen Daten ursprünglich erhoben wurden, vereinbar ist, sollte der Verantwortliche nach Einhaltung aller Anforderungen für die Rechtmäßigkeit der ursprünglichen Verarbeitung u.a. prüfen, ob ein Zusammenhang zwischen den Zwecken, für die die personenbezogenen Daten erhoben wurden, und den Zwecken der beabsichtigten Weiterverarbeitung besteht, in welchem Kontext die Daten erhoben wurden, insbesondere die vernünftigen Erwartungen der betroffenen Personen, die auf ihrer Beziehung zu dem Verantwortlichen beruhen, in Bezug auf die weitere Verwendung dieser Daten, um welche Art von personenbezogenen Daten es sich handelt, welche Folgen die beabsichtigte Weiterverarbeitung für die betroffenen Personen hat und ob sowohl beim ursprünglichen als auch beim beabsichtigten Weiterverarbeitungsvorgang geeignete Garantien bestehen (Stichwort: vergleichbarer Zweck, vgl. Wortmann ArbRB 2018, 83).
3. Datenminimierung (Art. 5 Abs. 1 lit. c DSGVO)
Der Grundsatz der Datenminimierung fordert, dass personenbezogene Daten dem Zweck angemessen, erheblich und auf das für die Zwecke der Verarbeitung notwendige Maß beschränkt sein müssen (Stichwort: Datensparsamkeit).
4. Richtigkeit (Art. 5 Abs. 1 lit. d DSGVO)
Der Grundsatz der Richtigkeit fordert, dass personenbezogene Daten sachlich richtig und erforderlichenfalls auf dem neuesten Stand sind. Es sind alle angemessenen Maßnahmen zu treffen, damit personenbezogene Daten, die im Hinblick auf die Zwecke ihrer Verarbeitung unrichtig sind, unverzüglich gelöscht oder berichtigt werden.
5. Speicherbegrenzung (Art. 5 Abs. 1 lit. e DSGVO)
Der Grundsatz der Speicherbegrenzung fordert, dass personenbezogene Daten in einer Form gespeichert werden, die die Identifizierung der betroffenen Personen nur so lange ermöglicht, wie es für die Zwecke, für die sie verarbeitet werden, erforderlich ist. Personenbezogene Daten dürfen länger gespeichert werden, soweit die personenbezogenen Daten vorbehaltlich der Durchführung geeigneter technischer und organisatorischer Maßnahmen, die von dieser Verordnung zum Schutz der Rechte und Freiheiten der betroffenen Person gefordert werden, ausschließlich für im öffentlichen Interesse liegende Archivzwecke oder für wissenschaftliche und historische Forschungszwecke oder für statistische Zwecke gem. Art. 89 Abs. 1 DSGVO verarbeitet werden.
Praxishinweis:
Die Grundsätze der Datenminimierung und Speicherbegrenzung erfordern bei einem regelkonformen Verständnis die beständige bzw. turnusmäßige Prüfung der personenbezogenen Datenbestände darauf, ob unnötige Daten oder Daten in unnötiger Weise wider die Zweckbindung verarbeitet werden. Auch die Löschung überflüssiger Daten wird von diesen Grundsätzen umfasst, was in Bezug auf den Beschäftigtendatenschutz zur Überprüfung der Personalakten (analoge Akte und E-Akte) verpflichtet. Personalakten ausgeschiedener Arbeitnehmer sind auszudünnen bzw. bei Fortfall der Zweckbindung zu entsorgen, was Löschroutinen in den Unternehmen erfordert (vgl. Wo...